SECURITY-上课记录6.3
查看指定时间的日志
$ journalctl --since="2012-10-30 18:17:16"
$ journalctl --since "20 min ago"
$ journalctl --since yesterday
$ journalctl --since "2015-01-10" --until "2015-01-11 03:00"
$ journalctl --since 09:00 --until "1 hour ago"
站在用户的角度思考问题,与客户深入沟通,找到舞钢网站设计与舞钢网站推广的解决方案,凭借多年的经验,让设计与互联网技术结合,创造个性化、用户体验好的作品,建站类型包括:成都网站制作、做网站、外贸营销网站建设、企业官网、英文网站、手机端网站、网站推广、申请域名、网络空间、企业邮箱。业务覆盖舞钢地区。
显示尾部的最新10行日志
$ journalctl -n
显示尾部指定行数的日志 $ journalctl -n 20
实时滚动显示最新日志 $ journalctl -f
查看指定服务的日志 $ journalctl /usr/lib/systemd/systemd
查看指定进程的日志 $ journalctl _PID=1
查看某个路径的脚本的日志 $ journalctl /usr/bin/bash
查看指定用户的日志
$ journalctl _UID=33 --since today
查看某个 Unit 的日志
$ journalctl -u nginx.service
$ journalctl -u nginx.service --since today
实时滚动显示某个 Unit 的最新日志
$ journalctl -u nginx.service -f
合并显示多个 Unit 的日志
$ journalctl -u nginx.service -u php-fpm.service --since today
查看指定优先级(及其以上级别)的日志,共有8级
0: emerg # 1: alert # 2: crit # 3: err # 4: warning # 5: notice # 6: info # 7: debug
$ journalctl -p err -b
日志默认分页输出,--no-pager 改为正常的标准输出
$ journalctl --no-pager
以 JSON 格式(单行)输出
$ journalctl -b -u nginx.service -o json
以 JSON 格式(多行)输出,可读性更好
$ journalctl -b -u nginx.service -o json-pretty
显示日志占据的硬盘空间
$ journalctl --disk-usage
指定日志文件占据的最大空间
$ journalctl --vacuum-size=1G
指定日志文件保存多久
$ journalctl --vacuum-time=1years
审计日志
auditctl -l
auditctl -w /etc/passwd -p rxwa
vi /etc/audit/audit.rules
ausearch -f /etc/passwd|grep useradd
aureport
一、整理列表100多项;
二、写成脚本,自动化批处理功能;
三、自动化运维工具(ansible、puppet、saltstack、cf)
在文件/etc/login.defs中设置 PASS_MAX_DAYS 不大于标准值
在文件/etc/login.defs中设置 PASS_MIN_DAYS 不小于标准值
在文件/etc/login.defs中设置 PASS_MIN_LEN 不小于标准值
在文件/etc/login.defs中设置 PASS_WARN_AGE 不小于标准值
awk -F: '$3==0 {print $1}' /etc/passwd
文件/etc/passwd中除root所在行外所有行第二个与第三个冒号之间UID不应设置为0
"Redhat系统:修改/etc/pam.d/system-auth文件,
Suse9:修改/etc/pam.d/passwd文件,
Suse10,Suse11:修改/etc/pam.d/common-password文件,
在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 选3种,追加到password requisite pam_cracklib.so后面,添加到配置文件中。
例如:password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1
注:ucredit:大写字母个数;lcredit:小写字母个数;dcredit:数字个数;ocredit:特殊字符个数"
"Redhat系统:修改/etc/pam.d/system-auth文件,
Suse9:修改/etc/pam.d/passwd文件,
Suse10,Suse11:修改/etc/pam.d/common-password文件,
在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 选3种,追加到password requisite pam_cracklib.so后面,添加到配置文件中。
例如:password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1
注:ucredit:大写字母个数;lcredit:小写字母个数;dcredit:数字个数;ocredit:特殊字符个数"
"Redhat系统:修改/etc/pam.d/system-auth文件,
Suse9:修改/etc/pam.d/passwd文件,
Suse10,Suse11:修改/etc/pam.d/common-password文件,
在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 选3种,追加到password requisite pam_cracklib.so后面,添加到配置文件中。
例如:password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1
注:ucredit:大写字母个数;lcredit:小写字母个数;dcredit:数字个数;ocredit:特殊字符个数"
"参考配置操作:
(1) 设置用户目录默认权限,执行命令vi /etc/login.defs,编辑文件;
(2) 在文件中设置umask 027或UMASK 027,将缺省访问权限设置为750。,如果文件中含有umask参数,则需要在最前面设置该参数"
chmod 644 /etc/passwd
chmod 750 /etc/rc.d/init.d/
chmod 750 /tmp
chmod 600 /etc/xinetd.conf?补充说明:低版本的Linux系统采用inetd.conf配置文件,执行命令:chmod 600 /etc/inetd.conf
chmod 750 /etc/rc5.d/
chmod 750 /etc/rc4.d
chmod 750 /etc/
chmod 600 /etc/security
chmod 400 /etc/shadow
"如果/etc/grub.conf文件存在,且非链接文件,则执行chmod 600 /etc/grub.conf;?如果/boot/grub/grub.conf文件存在,则执行chmod 600 /boot/grub/grub.conf;
如果/etc/lilo.conf文件存在,则执行chmod 600 /etc/lilo.conf。?"
chmod 644 /etc/services
chmod 750 /etc/rc0.d/
chmod 750 /etc/rc6.d
chmod 750 /etc/rc2.d/
chmod 644 /etc/group
chmod 750 /etc/rc1.d/
chmod 750 /etc/rc3.d
在文件/etc/csh.cshrc中设置 umask 077或UMASK 077
检查文件/etc/bashrc(或/etc/bash.bashrc)中设置 umask 077或UMASK 077
在文件/etc/csh.login中设置 umask 077或UMASK 077
在文件/etc/profile中设置umask 077或UMASK 077
"执行chattr +i /etc/gshadow?
如果不支持chattr,编辑/etc/fstab?
在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项,然后重启主机。"
"执行chattr +i /etc/shadow?
如果不支持chattr,编辑/etc/fstab?
在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项,然后重启主机。"
"执行chattr +i /etc/group?
如果不支持chattr,编辑/etc/fstab?
在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项,然后重启主机。"
"执行chattr +i /etc/passwd?
如果不支持chattr,编辑/etc/fstab?
在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项,然后重启主机。"
"1. 执行如下命令创建ssh banner信息文件:
#touch /etc/ssh_banner
#chown bin:bin /etc/ssh_banner
#chmod 644 /etc/ssh_banner
#echo "" Authorized only. All activity will be monitored and reported "" > /etc/ssh_banner
可根据实际需要修改该文件的内容。
- 修改/etc/ssh/sshd_config文件,添加如下行:
Banner /etc/ssh_banner
3.重启sshd服务:
#/etc/init.d/sshd restart"
"登录日志文件为/var/log/wtmp,/var/log/utmp.这2个文件中记录着所有登录过主机的用户,时间,来源等内容,这个文件不具可读性,可用last命令来看。
如果命令无结果,请联系管理员。"
"编辑/etc/rsyslog.conf文件,
配置:
cron. /var/log/cron ,
其中/var/log/cron为日志文件。
如果该文件不存在,则创建该文件,命令为:
touch /var/log/cron,并修改权限为775.命令为:chmod 775 /var/log/cron."
"修改配置文件vi /etc/rsyslog.conf,
加上这一行:
. @192.168.0.1
可以将"".""替换为你实际需要的日志信息。比如:kern. ; mail. 等等。
可以将此处192.168.0.1替换为实际的IP或域名(域名格式形如:www.nsfocus.com,根据具体情况填写)。 "
执行命令:chmod 775 /var/log/mail
执行命令:chmod 775 /var/log/boot.log
执行命令:chmod 775 /var/log/localmessages
执行命令:chmod 775 /var/log/secure
执行命令:chmod 755 /var/log/messages
执行命令:chmod 775 /var/log/cron
执行命令:chmod 775 /var/log/spooler
执行命令:chmod 775 /var/log/maillog
"1. Redhat5.x之前(包括5.x):编辑/etc/syslog.conf,
Redhat 6.x:编辑/etc/rsyslog.conf,
Suse 9:编辑/etc/syslog.conf,
配置:
authpriv. /var/log/secure - Suse10, 11:
编辑:/etc/syslog-ng/syslog-ng.conf。
配置:
filter f_secure { facility(authpriv); };
destination priverr { file(""/var/log/secure""); };
log { source(src); filter(f_secure); destination(priverr); }; - 创建/var/log/secure文件
touch /var/log/secure - 重启syslog服务
#/etc/init.d/syslog restart"
"通过设置日志文件可以对每个用户的每一条命令进行记录,这一功能默认是不开放的,为了打开它,需要安装pacct工具,并执行以下命令:
#touch /var/log/pacct
#accton /var/log/pacct
执行读取命令lastcomm [user name] –f /var/log/pacct "
"编辑/etc/rsyslog.conf
配置:
*.err;kern.debug;daemon.notice /var/adm/messages
其中/var/adm/messages为日志文件。
如果该文件不存在,则创建该文件,命令为:
touch /var/adm/messages,并修改权限为666.命令为:chmod 666 /var/adm/messages.
重启日志服务:
#/etc/init.d/rsyslog restart"
在网站上免费获取OpenSSH http://www.openssh.com/,并根据安装文件说明执行安装步骤
在/etc/services文件中,注释掉 telnet 23/tcp 一行(如不生效重启telnetd服务或xinetd服务或系统,例如,Red Hat 上重启xinetd:service xinetd restart,根据实际情况操作)
编辑 /etc/pam.d/login文件,配置auth required pam_securetty.so
修改/etc/ssh/sshd_config文件,配置PermitRootLogin no。重启服务,/etc/init.d/sshd restart。
编辑/etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)文件,设置:anonymous_enable=NO
在/etc/passwd文件中,删除ftp用户
"1.编辑/etc/ftpusers(或/etc/vsftpd/ftpusers)文件
2.添加root"
"在/etc/ftpusers文件中加入下列行
root"
"1.确保/etc/ssh/sshd_config或/etc/ssh3/sshd2_config文件存在。如果不存在,则忽略下面配置步骤。
2.在sshd_config或sshd2_config中配置:Protocol 2
3.在sshd_config或sshd2_config中配置:PermitRootLogin no或PermitRootLogin NO"
如果系统未安装snmp服务,则认为合规。
编辑/etc/snmp/snmpd.conf,修改private默认团体字为用户自定义团体字。
如果系统安装了snmp服务,请确保该文件存在。如果不存在,则在/etc/snmp/目录下创建该文件。
编辑/etc/snmp/snmpd.conf,修改public默认团体字为用户自定义团体字。
以root账户执行,vi /etc/profile,增加 export TMOUT=600(单位:秒,可根据具体情况设定超时退出时间,要求不小于600秒),注销用户,再用该用户登录激活该功能
"1.执行命令find / -maxdepth 3 -name .netrc 2>/dev/null
2.进入到.netrc文件存在的目录
3.执行命令:mv .netrc .netrc.bak"
"1.执行命令find / -maxdepth 3 -name hosts.equiv 2>/dev/null
2.进入到hosts.equiv文件存在的目录
3.执行命令:mv hosts.equiv hosts.equiv.bak"
"1.执行命令find / -maxdepth 3 -name .rhosts 2>/dev/null
2.进入到.rhosts文件存在的目录
3.执行命令:mv .rhosts .rhosts.bak"
"1.执行命令find / -maxdepth 2 -name hosts.equiv
2.进入到. hosts.equiv文件存在的目录
3.执行命令:mv hosts.equiv hosts.equiv.bak"
"1.执行命令find / -maxdepth 3 -type f -name .rhosts 2>/dev/null
2.进入到.rhosts文件存在的目录
3.执行命令:mv .rhosts .rhosts.bak"
"chkconfig [--level levels] xxx off
注:levels为运行级别,需要重启机器"
"编辑su文件(vi /etc/pam.d/su),在开头添加下面两行:
auth sufficient pam_rootok.so 和
auth required pam_wheel.so group=wheel 这表明只有wheel组的成员可以使用su命令成为root用户。
你可以把用户添加到wheel组,以使它可以使用su命令成为root用户。
添加方法为:usermod –G wheel username"
编辑/etc/inittab,注释如下行ca::ctrlaltdel:/sbin/shutdown**,之后重启系统。
"在文件/etc/security/limits.conf中配置 soft core 0
在文件/etc/security/limits.conf中配置* hard core 0"
"1.备份配置文件
#cp -p /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts.bak
2.执行命令
#sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=""1""
并修改/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts的值为1
注:修改只能当次生效,重启系统需重新修改"
"1.备份配置文件
#cp -p /proc/sys/net/ipv4/conf/all/accept_redirects /proc/sys/net/ipv4/conf/all/accept_redirects.bak
2.执行命令
#sysctl -w net.ipv4.conf.all.accept_redirects=""0""
并修改/proc/sys/net/ipv4/conf/all/accept_redirects的值为0
注:修改只能当次生效,重启系统需重新修改"
"1.备份配置文件
#cp -p /proc/sys/net/ipv4/conf/all/send_redirects /proc/sys/net/ipv4/conf/all/send_redirects.bak
2.执行命令
#sysctl -w net.ipv4.conf.all.send_redirects=""0""
并修改/proc/sys/net/ipv4/conf/all/send_redirects的值为0
注:修改只能当次生效,重启系统需重新修改 "
"1.备份配置文件
#cp -p /proc/sys/net/ipv4/ip_forward /proc/sys/net/ipv4/ip_forward.bak
2.执行命令
#sysctl -w net.ipv4.ip_forward=""0""
并修改/proc/sys/net/ipv4/ip_forward的值为0
注:修改只能当次生效,重启系统需重新修改"
"1.备份配置文件
#cp -p /proc/sys/net/ipv4/conf/all/accept_source_route/proc/sys/net/ipv4/conf/all/accept_source_route.bak
2.执行命令
#sysctl -w net.ipv4.conf.all.accept_source_route=""0""
并修改/proc/sys/net/ipv4/conf/all/accept_source_route的值为0
注:修改只能当次生效,重启系统需重新修改"
"Redhat:编辑/etc/pam.d/system-auth文件,
Suse9:编辑/etc/pam.d/passwd文件,
Suse10,Suse11:编辑/etc/pam.d/common-password文件,
修改设置如下
password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok remember=5
补充操作说明
只需在password sufficient这一行加上remember=5即可
NIS系统无法生效,非NIS系统或NIS+系统能够生效。 "
chmod 644 /etc/passwd
chmod 644 /etc/group
chmod 600 /etc/shadow
"找出系统中所有含有“s”属性的文件,把不必要的“s”属性去掉,或者把不用的直接删除。find /usr/bin -type f ( -perm -04000 -o -perm -02000 ) -exec ls -lg {} \;
chmod a-s filename"
"如果系统使用vsftp:
修改/etc/vsftpd.conf(或者为/etc/vsftpd/vsftpd.conf)vi /etc/vsftpd.conf
确保以下行未被注释掉,如果没有该行,请添加:
write_enable=YES //允许上传。如果不需要上传权限,此项可不进行更改。
ls_recurse_enable=YES
local_umask=022 //设置用户上传文件的属性为755
anon_umask=022 //匿名用户上传文件(包括目录)的 umask
重启网络服务/etc/init.d/vsftpd restart
如果系统使用pure-ftp
修改/etc/pure-ftpd/pure-ftpd.confvi /etc/pure-ftpd/pure-ftpd.conf
确保以下行未被注释掉,如果没有该行,请添加:
Umask 177:077
重启ftp服务
#/etc/init.d/pure-ftpd restart "
"1.请确认系统引导器的类型为grub,如果不为grub,则忽略此检查点。
2.如果/boot/grub/menu.lst文件存在,编辑/boot/grub/menu.lst文件,设置password=(为需要设置的密码。
3.如果不存在,请检查grub是否正确安装,或/boot/grub/menu.lst文件是否被更名"
"为用户创建账号:
#useradd username #创建账号
#passwd username #设置密码
修改权限:
#chmod 750 directory #其中755为设置的权限,可根据实际情况设置相应的权限,directory是要更改权限的目录)
使用该命令为不同的用户分配不同的账号,设置不同的口令及权限信息等。"
"编辑文件/etc/profile,
配置
HISTFILESIZE=5"
"1.修改文件/etc/motd的内容,如没有该文件,则创建它。
#echo ""Login success. All activity will be monitored and reported "" > /etc/motd根据实际需要修改该文件的内容"
"1.vsftp
修改/etc/vsftpd.conf(或者/etc/vsfptd/vsftpd.conf)
#vi /etc/vsftpd.conf
确保以下行未被注释掉,如果没有该行,请添加:
chroot_local_user=YES
重启网络服务
#/etc/init.d/vsftpd restart
2.pure-ftp
修改/etc/pure-ftpd/pure-ftpd.conf
#vi /etc/pure-ftpd/pure-ftpd.conf
确保以下行未被注释掉(并且值为以下值),如果没有该行,请添加:
ChrootEveryone yes
AllowUserFXP no
AllowAnonymousFXP no
重启ftp服务
#/etc/init.d/pure-ftpd restart"
"参考配置操作
编辑别名文件vi /etc/aliases,删除或注释掉下面的行
#games: root
#ingres: root
#system: root
#toor: root
#uucp: root
#manager: root
#dumper: root
#operator: root
#decode: root
#root: marc
补充操作说明
更新后运行/usr/bin/newaliases,使改变生效 "
"1.编辑别名文件vi /etc/mail/aliases,删除或注释掉下面的行
#games: root
#ingres: root
#system: root
#toor: root
#uucp: root
#manager: root
#dumper: root
#operator: root
#decode: root
#root: marc
2.修改后运行命令:/usr/bin/newaliases,使改变生效 "
"1.修改telnet回显信息
修改文件/etc/issue 和/etc/issue.net中的内容:
#echo "" Authorized users only. All activity may be monitored and reported "" > /etc/issue
#echo "" Authorized users only. All activity may be monitored and reported "" > /etc/issue.net
可根据实际需要修改该文件的内容,但是不要出现系统敏感信息,如redhat,suse等。
2.重启服务:
/etc/init.d/xinetd restart"
"编辑/etc/hosts.deny
增加一行 all:all
重启进程:
#/etc/init.d/xinetd restart "
"编辑/etc/hosts.allow
增加一行
all:192.168.4.44:allow #允许单个IP;
sshd:192.168.1.:allow #允许192.168.1的整个网段的PC通过SSH来访问本机
重启进程:
#/etc/init.d/xinetd restart"
"删除用户:#userdel username;
锁定用户:
#usermod -L username
只有具备超级用户权限的使用者方可使用.
#usermod –U username可以解锁。
补充操作说明
需要锁定的用户:adm,lp,mail,uucp,operator,games,gopher,ftp,nobody,nobody4,noaccess,listen,webservd,rpm,dbus,avahi,mailnull,smmsp,nscd,vcsa,rpc,rpcuser,nfs,sshd,pcap,ntp,haldaemon,distcache,apache,webalizer,squid,xfs,gdm,sabayon,named。"
"执行命令passwd -l adm,锁定adm账户。
若adm账户不存在,检查项也合规。
补充说明:需要锁定账户有adm、daemon,bin,sys、lp、uucp、nuucp、smmsp。"
"1.执行备份:
#cp -p /etc/group /etc/group.bak
2.创建新的用户组
#groupadd 组名
#usermod -g 组名 -d 用户目录 -m 用户名
把用户添加进入某个组(s)或参考usermod --help说明进行设置"
"Redhat:
编辑/etc/pam.d/system-auth文件
配置:
auth required pam_tally.so deny=5 unlock_time=600
account required pam_tally.so
Suse9:
编辑/etc/pam.d/passwd文件
配置:
auth required pam_tally.so deny=5 unlock_time=600
account required pam_tally.so
Suse10,Suse11:
编辑/etc/pam.d/common-auth文件
配置:auth required pam_tally.so deny=5 unlock_time=600 no_lock_time
编辑/etc/pam.d/common-account文件
配置:account required pam_tally.so
参数说明:
deny #连续认证失败次数超过的次数
unlock_time #锁定的时间,单位为秒"
"编辑/etc/pam.d/sshd文件
在auth行下方添加:
auth required pam_tally.so deny=5 unlock_time=600 no_lock_time
在account行下方添加:
account required pam_tally.so
参数说明:
deny #连续认证失败次数超过的次数
unlock_time #锁定的时间,单位为秒"
"执行命令:
find /usr/bin/chage /usr/bin/gpasswd /usr/bin/wall /usr/bin/chfn /usr/bin/chsh /usr/bin/newgrp /usr/bin/write /usr/sbin/usernetctl /usr/sbin/traceroute /bin/mount /bin/umount /bin/ping /sbin/netreport -type f -perm +6000 2>/dev/null
如果存在输出结果,则使用chmod 755 文件名 命令修改文件的权限。
例如:chmod a-s /usr/bin/chage"
"编辑ntp 的配置文件:?
#vi /etc/ntp.conf,?
配置:server IP地址(提供ntp服务的机器)?
如:server 192.168.1.1?
开启ntp服务:?
redhat为:/etc/init.d/ntpd start?
suse9为:/etc/init.d/xntpd start?
suse10,11为:/etc/init.d/ntp start"
"如果ntp服务未开启,开启ntp服务:
redhat为:/etc/init.d/ntpd start
suse9为:/etc/init.d/xntpd start
suse10,11为:/etc/init.d/ntp start"
"Redhat 默认已经关闭了数据包转发功能。
可通过以下命令来查看数据包转发功能是否关闭:
cat /proc/sys/net/ipv4/ip_forward
如果返回值为0,说明数据包转发功能已经关闭,为1则开启。
关闭数据包转发功能:
命令: #sysctl -w net.ipv4.ip_forward=0 "
"限制能够访问NFS服务的IP范围:
编辑文件:vi /etc/hosts.allow
增加一行:portmap: 允许访问的IP"
"编辑/etc/host.conf文件:
multi off #关闭多IP绑定
补充操作说明
Redhat 默认没有/etc/host.conf文件,要先新建一个host.conf文件 "
"编辑/etc/host.conf文件:
nospoof on #关闭IP伪装
补充操作说明
Redhat 默认没有/etc/host.conf文件,要先新建一个host.conf文件 "
#! /bin/bash
#vesion 1.1 20190505
#author by (jxwpx)
ipadd= linux基线检查脚本 linux基线配置规范设计 EOF echo "IP: ${ipadd}" >> "/tmp/${ipadd}_checkResult.txt" user_id= scanner_time= echo "" #编号:GOOANN-Linux-02-01-01 passmax= echo "GOOANN-Linux-02-01-01:" >> "/tmp/${ipadd}_checkResult.txt" if [ $passmin -ge 6 ];then if [ $passlen -ge 8 ];then if [ $passage -ge 30 -a $passage -lt $passmax ];then echo "" #编号:GOOANN-Linux-02-01-02 echo "" echo "GOOANN-Linux-02-01-02:" >> "/tmp/${ipadd}_checkResult.txt" else Ansible/Saltstack(master->minion) Ansible软件特点 实现从管理机man01到其他机器的密钥认证 0.ansible借助公钥批量管理 1.安装ansible 2.配置ansible 3.验证ansible [root@man01 ~]# ansible jxwpx -m ping #批量执行命令 #2.如果没有给对应的主机下发公钥,可以使用密码的方式进行添加 3.定义主机清单 [nfs] [backup] [jxwpx:children] [root@man01 ~]# ansible web --list-hosts #web 1、命令 -> 文件 = 脚本 1.command 执行命令 1.command命令模块 [root@man01 ~]# ansible jxwpx -a "hostname" [root@man01 ~]# ansible jxwpx -m shell -a "ifconfig|grep eth0" -f 50 2.yum安装模块 [root@man01 ~]# ansible jxwpx -m yum -a "name=httpd state=installed" 3.copy模块 [root@man01 ~]# ansible jxwpx -m copy -a "src=/etc/hosts dest=/tmp/test.txt owner=www group=www mode=0600" [root@man01 ~]# ansible jxwpx -m copy -a "src=/etc/hosts dest=/tmp/test.txt backup=yes" [root@man01 ~]# ansible jxwpx -m copy -a "content='bgx' dest=/tmp/jxwpx" src --- 推送数据的源文件信息 4.service服务模块 1.安装 yum copy service mount cron user fileifconfig -a | grep Bcast | awk -F "[ :]+" '{print $4}' | tr "\n" "_"
cat <
Author(jxwpx)
输出结果"/tmp/${ipadd}_checkResult.txt" whoami
echo "当前扫描用户:${user_id}" >> "/tmp/${ipadd}_checkResult.txt"date '+%Y-%m-%d %H:%M:%S'
echo "当前扫描时间:${scanner_time}" >> "/tmp/${ipadd}_checkResult.txt"
echo "账号策略检查中..."
echo ""
#项目:帐号与口令-用户口令设置
#合格:Y;不合格:N
#不合格地方cat /etc/login.defs | grep PASS_MAX_DAYS | grep -v ^# | awk '{print $2}'
passmin=cat /etc/login.defs | grep PASS_MIN_DAYS | grep -v ^# | awk '{print $2}'
passlen=cat /etc/login.defs | grep PASS_MIN_LEN | grep -v ^# | awk '{print $2}'
passage=cat /etc/login.defs | grep PASS_WARN_AGE | grep -v ^# | awk '{print $2}'
if [ $passmax -le 90 -a $passmax -gt 0 ];then
echo "Y:口令生存周期为${passmax}天,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令生存周期为${passmax}天,不符合要求,建议设置不大于90天" >> "/tmp/${ipadd}_checkResult.txt"
fi
echo "Y:口令更改最小时间间隔为${passmin}天,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令更改最小时间间隔为${passmin}天,不符合要求,建议设置大于等于6天" >> "/tmp/${ipadd}_checkResult.txt"
fi
echo "Y:口令最小长度为${passlen},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令最小长度为${passlen},不符合要求,建议设置最小长度大于等于8" >> "/tmp/${ipadd}_checkResult.txt"
fi
echo "Y:口令过期警告时间天数为${passage},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令过期警告时间天数为${passage},不符合要求,建议设置大于等于30并小于口令生存周期" >> /"/tmp/${ipadd}_checkResult.txt"
fi
echo "账号是否会主动注销检查中..."
echo ""
checkTimeout=$(cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}')
if [ $? -eq 0 ];then
TMOUT=cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}'
if [ $TMOUT -le 600 -a $TMOUT -ge 10 ];then
echo "Y:账号超时时间${TMOUT}秒,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:账号超时时间${TMOUT}秒,不符合要求,建议设置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
fi
else
echo "N:账号超时不存在自动注销,不符合要求,建议设置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
fi
#项目:帐号与口令-root用户远程登录限制
#合格:Y;不合格:N
#不合格地方
echo "检查root用户是否能远程登录限制..."
echo ""
remoteLogin=$(cat /etc/ssh/sshd_config | grep -v ^# |grep "PermitRootLogin no")
if [ $? -eq 0 ];then
echo "Y:已经设置远程root不能登陆,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:已经设置远程root能登陆,不符合要求,建议/etc/ssh/sshd_config添加PermitRootLogin no" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-01-03
#项目:帐号与口令-检查是否存在除root之外UID为0的用户
#合格:Y;不合格:N
#不合格地方
#查找非root账号UID为0的账号
echo "GOOANN-Linux-02-01-03:" >> "/tmp/${ipadd}_checkResult.txt"
UIDS=awk -F[:] 'NR!=1{print $3}' /etc/passwd
flag=0
for i in $UIDS
do
if [ $i = 0 ];then
echo "N:存在非root账号的账号UID为0,不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
flag=1
fi
done
if [ $flag = 1 ];then
echo "Y:不存在非root账号的账号UID为0,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-01-04
#项目:帐号与口令-检查telnet服务是否开启
#合格:Y;不合格:N
#不合格地方
#检查telnet是否开启
echo "GOOANN-Linux-02-01-04:" >> "/tmp/${ipadd}_checkResult.txt"
telnetd=cat /etc/xinetd.d/telnet | grep disable | awk '{print $3}'
if [ "$telnetd"x = "yes"x ]; then
echo "N:检测到telnet服务开启,不符合要求,建议关闭telnet" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-01-05
#项目:帐号与口令-root用户环境变量的安全性
#合格:Y;不合格:N
#不合格地方
#检查目录权限是否为777
echo "GOOANN-Linux-02-01-05:" >> "/tmp/${ipadd}_checkResult.txt"
dirPri=$(find $(echo $PATH | tr ':' ' ') -type d ( -perm -0777 ) 2> /dev/null)
if [ -z "$dirPri" ]
then
echo "Y:目录权限无777的,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:文件${dirPri}目录权限为777的,不符合要求。" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-01-06
#项目:帐号与口令-远程连接的安全性配置
#合格:Y;不合格:N
#不合格地方
echo "GOOANN-Linux-02-01-06:" >> "/tmp/${ipadd}_checkResult.txt"
fileNetrc=find / -xdev -mount -name .netrc -print 2> /dev/null
if [ -z "${fileNetrc}" ];then
echo "Y:不存在.netrc文件,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:存在.netrc文件,不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
fileRhosts=find / -xdev -mount -name .rhosts -print 2> /dev/null
if [ -z "$fileRhosts" ];then
echo "Y:不存在.rhosts文件,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:存在.rhosts文件,不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-01-07
#项目:帐号与口令-用户的umask安全配置
#合格:Y;不合格:N
#不合格地方
#检查umask设置
echo "GOOANN-Linux-02-01-07:" >> "/tmp/${ipadd}_checkResult.txt"
umask1=cat /etc/profile | grep umask | grep -v ^# | awk '{print $2}'
umask2=cat /etc/csh.cshrc | grep umask | grep -v ^# | awk '{print $2}'
umask3=cat /etc/bashrc | grep umask | grep -v ^# | awk 'NR!=1{print $2}'
flags=0
for i in $umask1
do
if [ $i != "027" ];then
echo "N:/etc/profile文件中所所设置的umask为${i},不符合要求,建议设置为027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/profile文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
flags=0
for i in $umask2
do
if [ $i != "027" ];then
echo "N:/etc/csh.cshrc文件中所所设置的umask为${i},不符合要求,建议设置为027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/csh.cshrc文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
flags=0
for i in $umask3
do
if [ $i != "027" ];then
echo "N:/etc/bashrc文件中所设置的umask为${i},不符合要求,建议设置为027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/bashrc文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-01-08
#项目:帐号与口令-grub和lilo密码是否设置检查
#合格:Y;不合格:N
#不合格地方
#grub和lilo密码是否设置检查
echo "GOOANN-Linux-02-01-08:" >> "/tmp/${ipadd}_checkResult.txt"
grubfile=$(cat /etc/grub.conf | grep password)
if [ $? -eq 0 ];then
echo "Y:已设置grub密码,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:没有设置grub密码,不符合要求,建议设置grub密码" >> "/tmp/${ipadd}_checkResult.txt"
fi
lilo=$(cat /etc/lilo.conf | grep password)
if [ $? -eq 0 ];then
echo "Y:已设置lilo密码,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:没有设置lilo密码,不符合要求,建议设置lilo密码" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-02-01
#项目:文件系统-重要目录和文件的权限设置
#合格:Y;不合格:N
#不合格地方
echo "GOOANN-Linux-02-02-01:" >> "/tmp/${ipadd}_checkResult.txt"
echo ""
echo "检查重要文件权限中..."
echo ""
file1=ls -l /etc/passwd | awk '{print $1}'
file2=ls -l /etc/shadow | awk '{print $1}'
file3=ls -l /etc/group | awk '{print $1}'
file4=ls -l /etc/securetty | awk '{print $1}'
file5=ls -l /etc/services | awk '{print $1}'
file6=ls -l /etc/xinetd.conf | awk '{print $1}'
file7=ls -l /etc/grub.conf | awk '{print $1}'
file8=ls -l /etc/lilo.conf | awk '{print $1}'
#检测文件权限为400的文件
if [ $file2 = "-r--------" ];then
echo "Y:/etc/shadow文件权限为400,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/shadow文件权限不为400,不符合要求,建议设置权限为400" >> "/tmp/${ipadd}_checkResult.txt"
fi
#检测文件权限为600的文件
if [ $file4 = "-rw-------" ];then
echo "Y:/etc/security文件权限为600,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/security文件权限不为600,不符合要求,建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file6 = "-rw-------" ];then
echo "Y:/etc/xinetd.conf文件权限为600,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/xinetd.conf文件权限不为600,不符合要求,建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file7 = "-rw-------" ];then
echo "Y:/etc/grub.conf文件权限为600,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/grub.conf文件权限不为600,不符合要求,建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ -f /etc/lilo.conf ];then
if [ $file8 = "-rw-------" ];then
echo "Y:/etc/lilo.conf文件权限为600,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/lilo.conf文件权限不为600,不符合要求,建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
fi
echo "N:/etc/lilo.conf文件夹不存在"
fi
#检测文件权限为644的文件
if [ $file1 = "-rw-r--r--" ];then
echo "Y:/etc/passwd文件权限为644,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/passwd文件权限不为644,不符合要求,建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file5 = "-rw-r--r--" ];then
echo "Y:/etc/services文件权限为644,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/services文件权限不为644,不符合要求,建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file3 = "-rw-r--r--" ];then
echo "Y:/etc/group文件权限为644,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/group文件权限不为644,不符合要求,建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-02-02
#项目:文件系统-查找未授权的SUID/SGID文件
#合格:Y;不合格:N
#不合格地方
echo "GOOANN-Linux-02-02-02:" >> "/tmp/${ipadd}_checkResult.txt"
unauthorizedfile=find / \( -perm -04000 -o -perm -02000 \) -type f
echo "C:文件${unauthorizedfile}设置了SUID/SGID,请检查是否授权" >> "/tmp/${ipadd}_checkResult.txt"
#编号:GOOANN-Linux-02-02-03
#项目:文件系统-检查任何人都有写权限的目录
#合格:Y;不合格:N;检查:C
#不合格地方
echo "GOOANN-Linux-02-02-03:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteDre=$(find / -xdev -mount -type d ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null)
if [ -z "${checkWriteDre}" ];then
echo "Y:不存在任何人都有写权限的目录,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${checkWriteDre}目录任何人都可以写,不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-02-04
#项目:文件系统-检查任何人都有写权限的文件
#合格:Y;不合格:N;检查:C
#不合格地方
echo "GOOANN-Linux-02-02-04:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteFile=$(find / -xdev -mount -type f ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null)
if [ -z "${checkWriteFile}" ];then
echo "Y:不存在任何人都有写权限的目录,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${checkWriteFile}目录任何人都可以写,不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-02-02-05
#项目:文件系统-检查异常隐含文件
#合格:Y;不合格:N;检查:C
#不合格地方
echo "GOOANN-Linux-02-02-05:" >> "/tmp/${ipadd}_checkResult.txt"
hideFile=$(find / -xdev -mount ( -name ".." -o -name "..." ) 2> /dev/null)
if [ -z "${hideFile}" ];then
echo "Y:不存在隐藏文件,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${hideFile}是隐藏文件,建议审视" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-03-01-01
#项目:日志审计-syslog登录事件记录
#合格:Y;不合格:N;检查:C
#不合格地方
echo "GOOANN-Linux-03-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
recodeFile=$(cat /etc/syslog.conf)
if [ ! -z "${recodeFile}" ];then
logFile=$(cat /etc/syslog.conf | grep -V ^# | grep authpriv.)
if [ ! -z "${logFile}" ];then
echo "Y:存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:不存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
fi
else
echo "N:不存在/etc/syslog.conf文件,建议对所有登录事件都记录" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-03-01-02
#项目:系统文件-检查日志审核功能是否开启
#合格:Y;不合格:N;检查:C
echo "GOOANN-Linux-03-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
auditdStatus=$(service auditd status 2> /dev/null)
if [ $? = 0 ];then
echo "Y:系统日志审核功能已开启,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $? = 3 ];then
echo "N:系统日志审核功能已关闭,不符合要求,建议service auditd start开启" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-04-01-01
#项目:系统文件-系统core dump状态
#合格:Y;不合格:N;检查:C
echo "GOOANN-Linux-04-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
limitsFile=$(cat /etc/security/limits.conf | grep -V ^# | grep core)
if [ $? -eq 0 ];then
soft=cat /etc/security/limits.conf | grep -V ^# | grep core | awk {print $2}
for i in $soft
do
if [ "$i"x = "soft"x ];then
echo "Y: soft core 0 已经设置" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ "$i"x = "hard"x ];then
echo "Y: hard core 0 已经设置" >> "/tmp/${ipadd}_checkResult.txt"
fi
done
else
echo "N:没有设置core,建议在/etc/security/limits.conf中添加 soft core 0和* hard core 0" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号:GOOANN-Linux-04-01-02
#项目:系统文件-检查磁盘动态空间,是否大于等于80%
#合格:Y;不合格:N;检查:C
#
echo "GOOANN-Linux-04-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
space=$(df -h | awk -F "[ %]+" 'NR!=1{print $5}')
for i in $space
do
if [ $i -ge 80 ];then
echo "C:警告!磁盘存储容量大于80%,建议扩充磁盘容量或者删除垃圾文件" >> "/tmp/${ipadd}_checkResult.txt"
fi
1.ansible不需要单独安装客户端,SSH相当于ansible客户端。
2.ansible不需要启动任何服务,仅需安装对应工具即可。
3.ansible依赖大量的python模块来实现批量管理。
4.ansible配置文件/etc/ansible/ansible.cfg
#利用非交换式工具实现批量分发公钥与批量管理服务器
[root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.31
[root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.41
[root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.7
[root@man01 ~]# yum install ansible -y
[root@man01 ~]# vim /etc/ansible/hosts
[jxwpx]
192.168.1.31
192.168.1.41ansible是通过ssh端口探测通信
192.168.1.7 | SUCCESS => {
"changed": false,
"ping": "pong"
}
192.168.1.31 | SUCCESS => {
"changed": false,
"ping": "pong"
}
192.168.1.41 | SUCCESS => {
"changed": false,
"ping": "pong"
}
[root@man01 ~]# ansible jxwpx -m command -a "df -h"
192.168.1.41 ansible_ssh_user='root' ansible_ssh_pass='1' ansible_ssh_port='22'
[web]
192.168.1.7
192.168.1.31
192.168.1.41
web
nfs
backup
hosts (1):
192.168.1.7
[root@man01 ~]# ansible nfs --list-hosts #nfs
hosts (1):
192.168.1.31
[root@man01 ~]# ansible backup --list-hosts #rsync
hosts (1):
192.168.1.41
[root@man01 ~]# ansible jxwpx --list-hosts #集中所有的小组,用于执行一些基础的配置
hosts (3):
192.168.1.31
192.168.1.41
192.168.1.7
2、模块 -> 文件 = 剧本
安装 配置 启动
2.shell 执行命令
3.yum 安装软件模块
4.copy 配置模块
5.service 启动服务模块
6.user 用户管理
7.file 创建目录,创建文件,往文件写内容
8.cron 定时任务
9.mount 挂载默认模块, 执行命令
如果需要一些管道操作,则使用shell
-f =forks /etc/ansible/ansible.cfg #结果返回的数量
#推送脚本文件至远程,远程执行脚本文件
name ---指定要安装的软件包名称
state ---指定使用yum的方法
installed,present ---安装软件包
removed,absent ---移除软件包
latest ---安装最新软件包推送文件模块
在推送覆盖远程端文件前,对远端已有文件进行备份,按照时间信息备份
直接向远端文件内写入数据信息,并且会覆盖远端文件内原有数据信息
dest --- 推送数据的目标路径
backup --- 对推送传输过去的文件,进行备份
content --- 直接批量在被管理端文件中添加内容
group --- 将本地文件推送到远端,指定文件属组信息
owner --- 将本地文件推送到远端,指定文件属主信息
mode --- 将本地文件推送到远端,指定文件权限信息
[root@man01 ~]# ansible jxwpx -m service -a "name=crond state=stopped enabled=yes"
name --- 定义要启动服务的名称
state --- 指定服务状态是停止或是运行
started --- 启动
stopped --- 停止
restarted --- 重启
reloaded --- 重载
enabled --- 是否让服务开启自启动
[root@man01 ~]# ansible web -m yum -a "name=httpd state=installed"
2.配置
[root@man01 ~]# ansible web -m copy -a "content='This is Ansible' dest=/var/www/html/index.html"
3.启动
[root@man01 ~]# ansible web -m service -a "name=httpd state=started"
1.机器还原快照(firewalld、selinux、配置好仓库)
2.推送你的公钥
3.指定backup安装rsync、配置、启动、创建目录、创建用户、准备密码文件、权限
4.指定nfs安装nfs、配置、启动
5.web挂载nfs
6.web执行脚本推送数据至bakcup,加入定时任务
网站题目:SECURITY-上课记录6.3
转载源于:http://scyanting.com/article/jgoghe.html